SolanaベースのネオバンクAviciは、発行パートナーRainが提供した旧式のカード契約が攻撃者に悪用され、顧客のカード残高から$500,859.22が流出したことを受け、1,685人に全額返金する。

当初のオンチェーン推計では、攻撃者が管理するアドレスに資金が急速に蓄積したことで、被害額は$1 millionを超えると見られていた。Aviciの自己保管型SolanaおよびEVMウォレットは影響を受けていない。脆弱だったのは、ユーザーがカードシステムに移した残高を保持していた別個のSolana契約であり、ウォレットの保管と支払いに使うカード基盤が別であることが示された。

旧式のRain契約が不正引き出しを可能にした

Rainは、Aviciおよび少数の他プログラムで使用されていたSolana契約の旧バージョンに脆弱性を特定した。影響を受けたバージョンを稼働させていた全てのデプロイはその後更新され、修正後に追加の不正活動は検出されていない。

最初に確認された不正なやり取りは16:49:48 UTCにAvici関連の契約へ到達した。攻撃者はSubmitSignatures、続いてAddCollateralAdminとWithdrawCollateralAssetを繰り返し呼び出し、個別の担保口座から資産を引き出す前に管理権限を追加できる経路を作った。攻撃者アドレスは最終的に14,672件のトランザクションに署名し、そのうち2,344件は失敗した。

確認済みの1件のトランザクションでは、単一の担保口座から2,346.77 USDTが引き出された。攻撃開始前、そのウォレットはdeBridge経由で最初に1.79 SOLしか受け取っておらず、その後、流出したステーブルコインの一部をSOLに換えて、流出を継続していた。

この障害はSolana自体やAviciの自己保管型ウォレットシステムではなく、カード基盤側にある。ユーザーが自分のウォレットから、利用可能なカード残高を維持するための別個の契約へ資産を移した後にのみ影響を受けたため、被害はウォレット内残高ではなくカード資金に及んだ。

Aviciは全額返金を約束し、FBIに連絡

影響を受けた全てのカード残高は、Aviciの返金方針に基づき補填される。同社はFBIのInternet Crime Complaint Centerにも報告書を提出しており、取引の照合が進む間、Rainおよびセキュリティパートナーと連携を続けている。

Rainは第三者のフォレンジック調査員を起用し、法執行機関および関連する規制当局と協力する方針だ。是正対象は、Aviciの導入分だけでなく、脆弱なSolana契約バージョンをまだ使用していた全てのプログラムを含む。

現行契約と旧契約の分離は、6月のRaydiumの流出に似ている。当時も、既にRaydiumの現行インターフェースからは消えていた非推奨のSolana流動性プールに論理的欠陥が残っており、悪用可能だった。

別のSolanaプロトコルであるAllbridge Coreも、別個のフラッシュローン攻撃でステーブルコインプールの会計処理が操作され、$1 million超が流出した後、7月に運用を停止した。

流出中にAVICIは過去最安値へ下落

ユーザーが不足しているカード残高を共有し始め、攻撃が継続していたことで、AVICIは急落した。トークンは日中高値の$0.446の約半分にあたる$0.219近辺まで下落し、後に下げ幅の一部を回復した。

返金発表後、AVICIは$0.27近辺で取引されており、なお24時間で約38%下落したままで、時価総額は約$3.4 million、24時間取引高は約$1.2 millionだった。

Avici to Refund 1,685 Users After $500K Solana Card Contract Exploitという記事はCrypto Adventureに最初に掲載された。